Политика конфиденциальности TradingTime Limited

1. Термины и определения

1.1 Пользователь — физическое лицо, использующее Сайт или Мобильное приложение для получения информации об услугах Оператора, в целях заключения и исполнения договора.

1.2 Контрагент — юридическое лицо или индивидуальный предприниматель, с которым заключён возмездный договор.

1.3 Оператор — TradingTime Limited, Artemisia House, Floor 3, 90 Akropoleos Avenue, Strovolos, 2084, Республика Кипр.

1.4 Партнёр — физическое лицо, работающее по партнёрской программе для продвижения Оператора.

1.5 Cookies — фрагмент данных в составе HTTP-запроса для идентификации Пользователя и оформления заказов.

1.6 Сайт — совокупность программ в сети Интернет, доступ к которым осуществляется с использованием доменного имени.

1.7 Сервис — Сайт, Мобильное приложение, базы данных и объекты интеллектуальной собственности для предоставления информации и услуг.

1.8 Регистрационные данные — перечень сведений, указываемых при регистрации в Сервисе.

1.9 Мобильные приложения — программы для ЭВМ, устанавливаемые через агрегаторы мобильных приложений.

1.10 Обработка персональных данных — любое действие с персональными данными: сбор, запись, систематизация, накопление, хранение, использование, передача, удаление, уничтожение.

2. Общие положения

2.1 Политика регулирует вопросы обработки персональных данных при осуществлении Оператором хозяйственной деятельности и оказании услуг.

2.2 Политика разработана в соответствии с требованиями применимого законодательства Республики Кипр и Общего регламента ЕС по защите данных (GDPR).

2.3 Контрагент Оператора несёт ответственность за соответствие обработки персональных данных применимому законодательству в отношении:

• субъектов персональных данных, передаваемых на обработку;
• физических лиц-представителей контрагента;
• собственных персональных данных, если контрагент — индивидуальный предприниматель.

2.4 Требования к безопасности передаваемых персональных данных предусматриваются договором.

2.5 Обработка персональных данных представителя контрагента допускается, если это вытекает из существа договора.

2.6 При поступлении персональных данных от субъекта, последний несёт ответственность за указание достоверных данных.

2.7 Политика распространяется на персональные данные, полученные до и после её введения в действие.

2.8 Оператор придерживается следующих принципов:

• обработка осуществляется на законной и справедливой основе;
• обработка ограничивается конкретными, заранее определёнными и законными целями;
• не допускается объединение баз данных с несовместимыми целями обработки;
• обработке подлежат только персональные данные, отвечающие целям;
• содержание и объём должны соответствовать целям, без избыточности;
• обеспечивается точность, достаточность и актуальность данных;
• хранение осуществляется не дольше, чем требуют цели обработки.

2.9 Политика публикуется в сети Интернет.

3. Категории субъектов персональных данных

3.1 Оператор обрабатывает персональные данные следующих категорий:

• работников Оператора, уволенных работников, кандидатов на вакантные должности;
• Пользователей;
• Партнёров;
• представителей Контрагентов Оператора.

4. Цели и основания обработки персональных данных

4.1 Персональные данные работников обрабатываются в целях исполнения применимого трудового законодательства и трудового договора.

4.2 Персональные данные Пользователей и Партнёров обрабатываются с целью ознакомления с услугами, намерения заключить договор и исполнения договора.

4.3 Персональные данные представителей Контрагента обрабатываются с целью заключения и исполнения договора.

4.4 Персональные данные могут быть использованы в иных целях, если это прямо предусмотрено применимым законодательством.

4.5 Обработка ограничивается конкретными целями. Несовместимая с этими целями обработка не допускается.

5. Состав информации о субъектах персональных данных

5.1 Работники Оператора

Фамилия, имя, отчество, год рождения, пол, возраст, профессия, доход, социальный статус, паспортные данные, данные документов о воинском учёте (если применимо), идентификационные номера, страховые свидетельства, материалы по повышению квалификации, аттестации, служебным расследованиям.

5.2 Пользователи

Фамилия, имя, отчество, месяц, дата и место рождения, паспортные данные, пол, сигнальный счёт, торговый счёт, учебный счёт, адрес электронной почты, адрес регистрации.

5.3 Партнёры

Фамилия, имя, отчество, статус партнёра, сведения о партнёрском счёте.

5.4 Представители контрагентов

Фамилия, имя, отчество, должность и иные сведения, предусмотренные договором.

5.5 При использовании Сайта и Мобильных приложений Оператор обрабатывает: IP-адрес, MAC-адрес, ID устройства, IMEI, MEID, данные Cookies, информацию о браузере, операционной системе, времени доступа.

5.6 Сроки хранения персональных данных

• 5.6.1 Работников — не более 30 дней с момента утраты оснований обработки;
• 5.6.2 Пользователей — до расторжения договора, при задолженности — 3 года;
• 5.6.3 Заявителей — до момента исполнения услуги;
• 5.6.4 Контрагентов — до расторжения договора, материальные носители представителей — до истечения срока исковой давности;
• 5.6.5 материальные носители хранятся в помещениях, оснащённых средствами защиты, согласно внутреннему приказу;
• 5.6.6 хранение осуществляется раздельно для каждой категории субъектов.

6. Использование информационных систем

6.1 Оператор осуществляет обработку персональных данных в информационных системах персональных данных.

6.2 При передаче на обработку третьему лицу договор предусматривает обязанность защищать персональные данные в соответствии с применимым законодательством.

7. Права пользователя

Субъект персональных данных имеет право:

7.1 обращаться за внесением изменений в персональные данные и их удалением;

7.2 требовать извещения всех лиц, которым ранее сообщены неверные или неполные данные;

7.3 направлять обращения, касающиеся обработки персональных данных, в пределах компетенции Оператора;

7.4 реализовывать иные права, предусмотренные применимым законодательством, в том числе GDPR — право на доступ, исправление, удаление, ограничение обработки, переносимость данных и возражение.

8. Меры по защите персональных данных

8.1 Оператор принимает необходимые правовые, организационные и технические меры для защиты от неправомерного доступа, уничтожения, изменения, блокирования, копирования персональных данных:

• назначение ответственного за обработку;
• ограничение состава работников, имеющих доступ;
• программная идентификация пользователей и учёт действий;
• антивирусный контроль и меры от вредоносного воздействия;
• применение средств резервного копирования и восстановления;
• обновление программного обеспечения при наличии исправлений безопасности;
• шифрование при передаче персональных данных в сети Интернет;
• допуск только надлежащих лиц к техническим средствам;
• применение технических средств охраны помещений и мест хранения носителей.

8.2 Оператор обеспечивает безопасность персональных данных:

• с учётом возможного вреда субъекту, объёма и содержания обрабатываемых данных, вида деятельности, актуальности угроз безопасности;
• применением технических мер в соответствии с угрозами безопасности;
• применением организационных и технических мер, необходимых для выполнения требований к защите;
• применением средств защиты информации, прошедших оценку соответствия;
• оценкой эффективности мер до начала работы в системе персональных данных;
• учётом машинных носителей персональных данных;
• процедурами обнаружения несанкционированного доступа и принятием мер;
• восстановлением модифицированных или уничтоженных персональных данных;
• установлением правил доступа и регистрацией всех действий с персональными данными;
• контролем за принимаемыми мерами и уровнем защищённости систем.

9. Средства антивирусной защиты

9.1 К использованию допускаются только лицензионные антивирусные средства, приобретённые у поставщиков.

9.2 Установка и настройка параметров на рабочих станциях и серверах осуществляется администратором информационной безопасности.

9.3 Обновление антивирусных средств должно происходить в автоматическом режиме. Допускается работа с обновлениями не старше 72 часов.

9.4 Антивирусный контроль всех дисков и файлов рабочих станций проводится еженедельно.

9.5 На каждой рабочей станции и сервере в резидентном режиме должен быть запущен антивирусный монитор.

9.6 Обязательному антивирусному контролю подлежит информация, получаемая по телекоммуникационным каналам и на съёмных носителях.

9.7 Устанавливаемое программное обеспечение должно быть предварительно проверено на наличие вирусов.

10. Работа с парольной защитой

10.1 Персональные пароли генерируются специальными программными средствами административной службы.

10.2 Длина пароля — не менее 8 символов.

10.3 В составе пароля должны присутствовать буквы в верхнем и нижнем регистрах, цифры и специальные символы.

10.4 Пароль не должен включать:

• легко вычисляемые сочетания символов;
• клавиатурные последовательности символов и знаков;
• общепринятые сокращения;
• аббревиатуры;
• номера телефонов, автомобилей;
• прочие сочетания букв, ассоциируемые с пользователем.

При смене пароля новое сочетание должно отличаться от предыдущего не менее чем на 2 символа.

10.5 Допускается использование единого пароля для доступа к различным информационным ресурсам.

10.6 Полная плановая смена паролей проводится регулярно, не реже одного раза в месяц.

10.7 Полная внеплановая смена паролей всех пользователей производится при прекращении полномочий администраторов средств защиты или сотрудников с полномочиями по управлению парольной защитой.

10.8 Полная внеплановая смена паролей производится при компрометации личного пароля администратора.

10.9 При компрометации личного пароля пользователя немедленно ограничивается доступ к информации с данной учётной записи.

10.10 При работе с парольной защитой пользователям запрещается:

• разглашать кому-либо персональный пароль и идентифицирующие сведения;
• предоставлять доступ от своей учётной записи посторонним лицам;
• записывать пароли на бумаге, файле, электронных и прочих носителях информации.

10.11 Хранение пароля на бумажном носителе допускается только в личном, опечатанном владельцем сейфе.

10.12 При вводе пароля пользователь обязан исключить возможность его перехвата сторонними лицами.

10.13 Компрометация включает:

• физическую утерю носителя с информацией;
• передачу идентификационной информации по открытым каналам связи;
• проникновение постороннего лица в помещение физического хранения (или подозрение);
• визуальный осмотр носителя посторонним лицом;
• перехват пароля при распределении идентификаторов;
• сознательную передачу информации посторонним лицам.

10.14 Действия при компрометации пароля:

• скомпрометированный пароль выводится из действия;
• взамен вводятся запасной или новый пароль;
• все участники обмена информацией оповещаются немедленно;
• пароль вносится в специальные списки скомпрометированных паролей и учётных записей.

11. Неавтоматизированная обработка персональных данных

11.1 Для обеспечения безопасности при неавтоматизированной обработке предпринимаются:

• все действия осуществляются только работниками Оператора, допущенными к работе с персональными данными;
• с третьим лицом, осуществляющим обработку по поручению, заключается договор с условиями защиты;
• обработка осуществляется в соответствии с требованиями применимого законодательства о защите персональных данных.

12. Конфиденциальность

12.1 Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта, кроме случаев, предусмотренных применимым законодательством.

13. Уничтожение (обезличивание) персональных данных

13.1 Уничтожение (обезличивание) производится:

• по достижении целей обработки или при утрате необходимости, в срок, не превышающий 30 дней, если иное не предусмотрено договором;
• при выявлении неправомерной обработки — в срок, не превышающий 10 рабочих дней;
• при истечении срока хранения, определяемого применимым законодательством;
• при предписании уполномоченного органа, компетентных государственных органов или решении суда.

14. Передача третьим лицам

14.1 Хранение персональных данных осуществляется в защищённых дата-центрах Оператора и его подрядчиков с применением технических и организационных мер защиты.

14.2 Оператор может передавать персональные данные провайдерам хостинга, сервисам аналитики и иным лицам с целью исполнения договора.

14.3 Оператор вправе передавать персональные данные компетентным государственным органам на основаниях, предусмотренных применимым законодательством.

15. Исключения из обработки

15.1 Оператор не обрабатывает специальные категории персональных данных, включая биометрические.

15.2 У Оператора отсутствуют процессы с принятием решений исключительно на основании автоматизированной обработки персональных данных.

15.3 Оператор не предоставляет неограниченный доступ к персональным данным третьим лицам.

15.4 Оператор не осуществляет инициативных контактов в информационно-рекламных целях.

16. Контакты

16.1 По вопросам обработки персональных данных, реализации прав субъекта, а также по иным связанным вопросам можно обратиться по электронной почте: algoritms@tradingtime.io.

17. Заключительные положения

17.1 Срок обработки персональных данных может определяться или переопределяться организационно-распорядительными документами Оператора в соответствии с применимым законодательством о защите персональных данных.

17.2 Политика подлежит изменению и дополнению при появлении новых законодательных актов по обработке и защите персональных данных, а также по решению Оператора.

17.3 Контроль исполнения требований осуществляется лицом, ответственным за организацию обработки персональных данных.

17.4 Вопросы, не урегулированные настоящей Политикой, регулируются применимым законодательством Республики Кипр.

17.5 Оператор может издавать иные локальные акты, уточняющие отдельные принципы обработки персональных данных.